Configurar um balanceador de carga de rede de proxy interno regional com back-ends de grupos de instâncias de VM

Console

1. No Console do Google Cloud, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique em Criar rede VPC.

3. Em Nome, insira lb-network.

4. Na seção Sub-redes, defina o Modo de criação da sub-rede como Personalizado.

5. Crie uma sub-rede para os back-ends do balanceador de carga. Na seção Nova sub-rede, insira as informações a seguir:

   • Name: backend-subnet
   • Região: REGION_A
   • Intervalo de endereços IP: 10.1.2.0/24

6. Clique em Concluído.

7. Clique em Add subnet.

8. Crie uma sub-rede para demonstrar o acesso global. Na seção Nova sub-rede, insira as informações a seguir:

   • Name: test-global-access-subnet
   • Região: REGION_B
   • Intervalo de endereços IP: 10.3.4.0/24

9. Clique em Concluído.

10. Clique em Criar.

gcloud

1. Crie a rede VPC personalizada com o comando gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Crie uma sub-rede na rede lb-network na região REGION_A com o comando gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
      --network=lb-network \
      --range=10.1.2.0/24 \
      --region=REGION_A
   

   Substitua REGION_A pelo nome da região de destino do Google Cloud.

3. Crie uma sub-rede na rede lb-network na região REGION_B com o comando gcloud compute networks subnets create:

   gcloud compute networks subnets create test-global-access-subnet \
      --network=lb-network \
      --range=10.3.4.0/24 \
      --region=REGION_B
   

   Substitua REGION_B pelo nome da região do Google Cloud em que você quer criar a segunda sub-rede para testar o acesso global.

Console

Se você estiver usando o console do Google Cloud, é possível esperar e criar a sub-rede somente proxy depois na página Balanceamento de carga.

Se você quiser criar a sub-rede somente proxy agora, siga estas etapas:

1. No Console do Google Cloud, acesse a página Redes VPC.
   Acessar redes VPC
2. Clique no nome da rede VPC compartilhada: lb-network.
3. Clique em Add subnet.
4. Em Nome, insira proxy-only-subnet.
5. Em Região, selecione REGION_A.
6. Defina Finalidade como Proxy gerenciado regional.
7. Em Intervalo de endereços IP, insira 10.129.0.0/23.
8. Clique em Adicionar.

gcloud

Crie a sub-rede somente proxy com o comando gcloud compute networks subnets create.

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

Console

1. No Console do Google Cloud, acesse a página políticas de Firewall.
   Acesse as políticas de firewall
2. Clique em Criar regra de firewall novamente para criar uma regra que autorize conexões SSH de entrada:
   • Nome: fw-allow-ssh
   • Rede: lb-network
   • Direção do tráfego: entrada
   • Ação na correspondência: permitir
   • Destinos: tags de destino especificadas
   • Tags de meta: allow-ssh
   • Filtro de origem: intervalos IPv4
   • Intervalos IPv4 de origem: 0.0.0.0/0
   • Protocolos e portas:
     • Escolha Protocolos e portas especificados.
     • Marque a caixa de seleção tcp e insira 22 como o número da porta.
3. Clique em Criar.
4. Clique em Criar regra de firewall pela segunda vez para criar uma regra que autorize as verificações de integridade do Google Cloud:
   • Nome: fw-allow-health-check
   • Rede: lb-network
   • Direção do tráfego: entrada
   • Ação na correspondência: permitir
   • Destinos: tags de destino especificadas
   • Tags de meta: allow-health-check
   • Filtro de origem: intervalos IPv4
   • Intervalos IPv4 de origem: 130.211.0.0/22 e 35.191.0.0/16
   • Protocolos e portas:
     • Escolha Protocolos e portas especificados.
     • Marque a caixa de seleção tcp e insira 80 como o número da porta.
       Como prática recomendada, limite esta regra somente aos protocolos e portas que correspondem aos usados por sua verificação de integridade. Se você usar tcp:80 para o protocolo e a porta, o Google Cloud poderá usar HTTP na porta 80 para entrar em contato com suas VMs, mas não poderá usar HTTPS na porta 443 para entrar em contato com elas.
5. Clique em Criar.
6. Clique em Criar regra de firewall uma terceira vez para criar a regra que permite que os servidores proxy do balanceador de carga se conectem aos back-ends:
   • Nome: fw-allow-proxy-only-subnet
   • Rede: lb-network
   • Direção do tráfego: entrada
   • Ação na correspondência: permitir
   • Destinos: tags de destino especificadas
   • Tags de meta: allow-proxy-only-subnet
   • Filtro de origem: intervalos IPv4
   • Intervalos IPv4 de origem: 10.129.0.0/23
   • Protocolos e portas:
     • Escolha Protocolos e portas especificados.
     • Marque a caixa de seleção tcp e insira 80 como os números da porta.
7. Clique em Criar.

gcloud

1. Crie a regra de firewall fw-allow-ssh que permita a conectividade SSH para VMs com a tag de rede allow-ssh. Se você omitir source-ranges, o Google Cloud interpretará que a regra autoriza a conexão proveniente de qualquer origem.

   gcloud compute firewall-rules create fw-allow-ssh \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --target-tags=allow-ssh \
      --rules=tcp:22
   

2. Crie a regra fw-allow-health-check para permitir verificações de integridade do Google Cloud. Neste exemplo, é permitido todo o tráfego TCP de sondagens de verificação de integridade. No entanto, é possível configurar um conjunto mais restrito de portas para atender às suas necessidades.

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=allow-health-check \
      --rules=tcp:80
   

3. Crie a regra fw-allow-proxy-only-subnet para permitir que os proxies Envoy da região se conectem aos seus back-ends. Defina --source-ranges como os intervalos alocados da sua sub-rede somente proxy, neste exemplo, 10.129.0.0/23.

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=10.129.0.0/23 \
      --target-tags=allow-proxy-only-subnet \
      --rules=tcp:80
   

Console

1. Criar um modelo de instância. No console do Google Cloud, acesse a página Modelos de instância.

   Acessar "Modelos de instância"

   1. Clique em Criar modelo de instância.
   2. Em Nome, insira int-tcp-proxy-backend-template.
   3. Certifique-se de que o disco de inicialização esteja configurado como uma imagem Debian. Por exemplo, Debian GNU/Linux 9 (stretch). Estas instruções usam comandos que estão disponíveis apenas no Debian, como apt-get.
   4. Clique em Opções avançadas.
   5. Clique em Rede e configure os seguintes campos:
      1. Em Tags de rede, insira allow-ssh, allow-health-check e allow-proxy-only-subnet.
      2. Em Interfaces de rede, selecione o seguinte:
         • Rede: lb-network
         • Sub-rede: backend-subnet

   6. Clique em Gerenciamento. Insira o script a seguir no campo Script de inicialização.

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. Clique em Criar.

2. Crie um grupo de instâncias gerenciadas. No console do Google Cloud, acesse a página Grupos de instâncias.

   Acesse grupo de instâncias

   1. Clique em Criar grupo de instâncias.
   2. Selecione Novo grupo gerenciado de instâncias (sem estado). Para mais informações, consulte MIGs sem estado ou com estado.
   3. Em Nome, insira mig-a.
   4. Em Local, selecione Única zona.
   5. Em Região, selecione REGION_A.
   6. Em Zona, selecione ZONE_A1.
   7. Em Modelo de instância, selecione int-tcp-proxy-backend-template.

   8. Especifique o número de instâncias que você quer criar no grupo.

      Neste exemplo, especifique as seguintes opções em Escalonamento automático:

      • Em Modo de escalonamento automático, selecione Off:do not autoscale.
      • Em Número máximo de instâncias, insira 2.

   9. Em Mapeamento de portas, clique em Adicionar porta.

      • Em Nome da porta, insira tcp80.
      • Em Número da porta, digite 80.

   10. Clique em Criar.

3. Repita a etapa 2 para criar um segundo grupo de instâncias gerenciadas com as seguintes configurações:

   1. Name: mig-c
   2. Zona: ZONE_A2 Mantenha todas as outras configurações iguais.

gcloud

As instruções gcloud deste guia pressupõem que você está usando o Cloud Shell ou outro ambiente com o bash instalado.

1. Crie um modelo de instância de VM com o servidor HTTP usando o comando gcloud compute instance-templates create.

   gcloud compute instance-templates create int-tcp-proxy-backend-template \
      --region=REGION_A \
      --network=lb-network \
      --subnet=backend-subnet \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
   

2. Crie um grupo gerenciado de instâncias na zona ZONE_A1.

   gcloud compute instance-groups managed create mig-a \
      --zone=ZONE_A1 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   Substitua ZONE_A1 pelo nome da zona na região de destino do Google Cloud.

3. Crie um grupo gerenciado de instâncias na zona ZONE_A2.

   gcloud compute instance-groups managed create mig-c \
      --zone=ZONE_A2 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   Substitua ZONE_A2 pelo nome de outra zona na região de destino do Google Cloud.

Console

Iniciar a configuração

1. No console do Google Cloud, acesse a página Balanceamento de carga.

   Acessar o "Balanceamento de carga"

2. Clique em Criar balanceador de carga.
3. Em Tipo de balanceador de carga, selecione Balanceador de carga de rede (TCP/UDP/SSL) e clique em Próxima.
4. Em Proxy ou passagem, selecione Balanceador de carga de proxy e clique em Próxima.
5. Em Voltado ao público ou interno, selecione Interno e clique em Próxima.
6. Em Implantação entre regiões ou região única, selecione Melhor para cargas de trabalho regionais e clique em Próxima.
7. Clique em Configurar.

Configuração básica

1. Em Nome, insira my-int-tcp-lb.
2. Em Região, selecione REGION_A.
3. Em Rede, selecione lb-network.

Reservar uma sub-rede somente proxy

Para reservar uma sub-rede somente proxy:

1. Clique em Reservar sub-rede.
2. Em Nome, insira proxy-only-subnet.
3. Em Intervalo de endereços IP, insira 10.129.0.0/23.
4. Clique em Adicionar.

Configuração de back-end

1. Clique em Configuração de back-end.
2. Em Tipo de back-end, selecione Grupo de instâncias.
3. Em Protocol, selecione TCP.
4. Em Porta nomeada, insira tcp80.
5. Configure o primeiro back-end:
   1. Em Novo back-end, selecione o grupo de instâncias mig-a.
   2. Em Números de portas, insira 80.
   3. Mantenha os valores padrão restantes e clique em Concluído.
6. Configure o segundo back-end:
   1. Clique em Adicionar back-end.
   2. Em Novo back-end, selecione o grupo de instâncias mig-c.
   3. Em Números de portas, insira 80.
   4. Mantenha os valores padrão restantes e clique em Concluído.
7. Configure a verificação de integridade:
   1. Em Verificação de integridade, selecione Criar verificação de integridade.
   2. Defina o Nome da verificação de integridade como tcp-health-check.
   3. Em Protocol, selecione TCP.
   4. Defina a Porta como 80.
8. Mantenha os valores padrão restantes e clique em Salvar.
9. No Console do Google Cloud, verifique se há uma marca de seleção ao lado de Configuração do back-end. Se não houver, verifique se você concluiu todas as etapas.

Configuração de front-end

1. Clique em Configuração de front-end.
2. Em Nome, insira int-tcp-forwarding-rule.
3. Em Sub-rede, selecione backend-subnet.
4. Em Endereço IP, selecione o endereço IP reservado anteriormente: LB_IP_ADDRESS
5. Em Número da porta, digite 110. A regra de encaminhamento encaminha pacotes com uma porta de destino correspondente.
6. Neste exemplo, não ative o Protocolo de proxy, porque ele não funciona com o software servidor HTTP Apache. Para mais informações, consulte Protocolo de proxy.
7. Clique em Concluído.
8. No Console do Google Cloud, verifique se há uma marca de seleção ao lado de Configuração do front-end. Se não houver, verifique se você concluiu todas as etapas anteriores.

Revisar e finalizar

1. Clique em Analisar e finalizar.
2. Revise suas configurações do balanceador de carga.
3. Opcional: clique em Código equivalente para conferir a solicitação de API REST que será usada para criar o balanceador de carga.
4. Clique em Criar.

gcloud

1. Criar uma verificação de integridade regional

   gcloud compute health-checks create tcp tcp-health-check \
      --region=REGION_A \
      --use-serving-port
   

2. Crie um serviço de back-end.

   gcloud compute backend-services create internal-tcp-proxy-bs \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. Adicionar grupos de instâncias ao serviço de back-end

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-a \
      --instance-group-zone=ZONE_A1 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-c \
      --instance-group-zone=ZONE_A2 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

4. Crie um proxy TCP de destino interno.

   gcloud compute target-tcp-proxies create int-tcp-target-proxy \
      --backend-service=internal-tcp-proxy-bs \
      --proxy-header=NONE \
      --region=REGION_A
   

   Se quiser ativar o cabeçalho proxy, defina-o como PROXY_V1 em vez de NONE. Neste exemplo, não ative o Protocolo de proxy, porque ele não funciona com o software servidor HTTP Apache. Para mais informações, consulte Protocolo de proxy.

5. Crie a regra de encaminhamento. Para --ports, especifique um único número de porta de 1-65535. Este exemplo usa a porta 110. A regra de encaminhamento encaminha pacotes com uma porta de destino correspondente.

   gcloud compute forwarding-rules create int-tcp-forwarding-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110
   

Console

1. No console do Google Cloud, acesse a página Instâncias de VMs.

   Acessar instâncias de VM

2. Clique em Criar instância.

3. Defina o Nome como client-vm.

4. Defina Zona como ZONE_A1.

5. Clique em Opções avançadas.

6. Clique em Rede e configure os seguintes campos:

   1. Em Tags de rede, insira allow-ssh.
   2. Em Interfaces de rede, selecione o seguinte:
      • Rede: lb-network
      • Sub-rede: backend-subnet

7. Clique em Criar.

gcloud

A VM do cliente precisa estar na mesma rede e região VPC que o balanceador de carga. Ele não precisa estar na mesma sub-rede ou zona. O cliente usa a mesma sub-rede que as VMs de back-end.

gcloud compute instances create client-vm \
    --zone=ZONE_A1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=backend-subnet

Console

Crie uma regra de encaminhamento para o balanceador de carga:

1. No Console do Google Cloud, acesse a página Balanceamento de carga.

   Acessar o "Balanceamento de carga"

2. Na coluna Nome, clique no seu balanceador de carga.

3. Clique em Configuração de front-end.

4. Clique em Adicionar IP e porta de front-end.

5. Digite os detalhes do nome e da sub-rede da nova regra de encaminhamento.

6. Em Sub-rede, selecione backend-subnet.

7. Em Endereço IP, é possível selecionar o mesmo endereço IP como uma regra de encaminhamento atual, reservar um novo endereço IP ou usar um endereço IP efêmero. O compartilhamento do mesmo endereço IP em várias regras de encaminhamento só será possível se você definir a sinalização --purpose do endereço IP como SHARED_LOADBALANCER_VIP ao criar o endereço IP.

8. Em Número da porta, digite 110.

9. Em Acesso global, selecione Ativar.

10. Clique em Concluído.

11. Clique em Atualizar.

gcloud

1. Crie uma nova regra de encaminhamento para o balanceador de carga com a sinalização --allow-global-access.

   gcloud compute forwarding-rules create int-tcp-forwarding-rule-global-access \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110 \
      --allow-global-access
   

2. Use o comando gcloud compute forwarding-rules describe para determinar se uma regra de encaminhamento tem acesso global ativado. Exemplo:

   gcloud compute forwarding-rules describe int-tcp-forwarding-rule-global-access \
      --region=REGION_A \
      --format="get(name,region,allowGlobalAccess)"
   

   Quando o acesso global está ativado, a palavra True aparece na saída após o nome e a região da regra de encaminhamento.

Console

1. No console do Google Cloud, acesse a página Instâncias de VMs.

   Acessar instâncias de VM

2. Clique em Criar instância.

3. Defina o Nome como test-global-access-vm.

4. Defina Zona como ZONE_B1.

5. Clique em Opções avançadas.

6. Clique em Rede e configure os seguintes campos:

   1. Em Tags de rede, insira allow-ssh.
   2. Em Interfaces de rede, selecione o seguinte:
      • Rede: lb-network
      • Sub-rede: test-global-access-subnet

7. Clique em Criar.

gcloud

Crie uma VM cliente na zona ZONE_B1.

gcloud compute instances create test-global-access-vm \
    --zone=ZONE_B1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=test-global-access-subnet

Substitua ZONE_B1 pelo nome da zona na região REGION_B.

Console

Para ativar a afinidade da sessão de IP do cliente:

1. No Console do Google Cloud, acesse a página Balanceamento de carga.
   Acessar balanceamento de carga
2. Clique em Back-ends.
3. Clique em internal-tcp-proxy-bs (o nome do serviço de back-end criado para este exemplo) e clique em Editar.
4. Na página Detalhes do serviço de back-end, clique em Configuração avançada.
5. Em Afinidade da sessão, selecione IP do cliente no menu.
6. Clique em Atualizar.

gcloud

Use o seguinte comando da CLI do Google Cloud para atualizar o serviço de back-end internal-tcp-proxy-bs, especificando a afinidade da sessão de IP do cliente:

gcloud compute backend-services update internal-tcp-proxy-bs \
    --region=REGION_A \
    --session-affinity=CLIENT_IP